Enterprise-WLAN-Sicherheit: WPA3, 802.1X und das Zertifikatsproblem

Bei der WLAN-Sicherheit klafft eine Lücke zwischen dem, was konfiguriert ist, und dem, was tatsächlich etwas schützt. Auf dieser Seite geht es darum, sie zu schließen.

Was WPA3 behebt

SAE (Simultaneous Authentication of Equals) ersetzt den Vier-Wege-Handshake von WPA2 Personal. Die wichtige Konsequenz: Ein Angreifer, der den Handshake abfängt, kann ihn nicht mitnehmen und offline per Brute Force knacken. Bei WPA2-Personal kann er das, und mit einer schwachen Passphrase wird er Erfolg haben. SAE bietet zudem Forward Secrecy – eine kompromittierte Passphrase entschlüsselt zuvor aufgezeichneten Verkehr nicht.

Protected Management Frames (PMF) sind unter WPA3 zwingend vorgeschrieben. Das macht den klassischen Deauthentifizierungsangriff unmöglich, mit dem die meisten „Wi-Fi-Hacking“-Demonstrationen beginnen.

Der WPA3-Enterprise-192-Bit-Modus existiert für Umgebungen mit einer entsprechenden Compliance-Anforderung. Die meisten Organisationen benötigen ihn nicht, und er schränkt die Client-Kompatibilität erheblich ein.

Der Übergangsmodus erlaubt es WPA2- und WPA3-Clients, sich eine SSID zu teilen. Er ist ein Migrationswerkzeug und bedeutet, dass ein Angreifer ein WPA2-Downgrade erzwingen kann. Betreiben Sie ihn, solange Sie müssen, mit einem dokumentierten Enddatum.

802.1X und der Fehler, den fast jeder macht

802.1X mit EAP-TLS ist die stärkste praktische Enterprise-Option: gegenseitige Zertifikatsauthentifizierung, keine Passwörter zum Phishen, Widerruf pro Gerät.

Das häufige Versagen liegt auf der Client-Seite. Wenn der Client nicht so konfiguriert ist, dass er das Zertifikat des RADIUS-Servers validiert – die Zertifikatskette und den Servernamen prüft –, kann ein Angreifer eine Evil-Twin-SSID aufstellen, ein beliebiges Zertifikat präsentieren und Zugangsdaten abgreifen. Bei PEAP-MSCHAPv2 liefert das direkt knackbare Passwort-Hashes.

So gehen Sie vor:

Verteilen Sie das WLAN-Profil per MDM oder Gruppenrichtlinie. Lassen Sie Nutzer niemals Enterprise-Wi-Fi von Hand konfigurieren – die Abfrage „diesem Zertifikat vertrauen?“ wird jedes Mal bestätigt.
Konfigurieren Sie im Profil explizit die vertrauenswürdige Root-CA und den erwarteten RADIUS-Servernamen.
Deaktivieren Sie die Option, die es Nutzern erlaubt, neue Server zu akzeptieren oder neuen CAs zu vertrauen.
Bevorzugen Sie EAP-TLS gegenüber PEAP-MSCHAPv2. Wenn Sie PEAP während der Migration verwenden müssen, behandeln Sie es als Übergangszustand und erzwingen Sie die Zertifikatsvalidierung konsequent.
Überwachen Sie RADIUS-Protokolle auf Authentifizierungsversuche von unerwarteten NAS-Adressen.

IoT, das kein 802.1X kann

Das ist der Großteil davon. Ein Drucker, ein Badge-Leser, ein Thermostat, eine Klinikpumpe, ein Barcode-Scanner aus dem Jahr 2014 – keines davon kann EAP-TLS.

Optionen, beste zuerst:

Pro-Gerät-PSK (je nach Hersteller PPSK / iPSK / DPSK). Jedes Gerät erhält eine eindeutige Passphrase, die einem VLAN und einer Richtlinie zugeordnet ist. Ein kompromittiertes Gerät kompromittiert nicht die SSID. Das ist die richtige Antwort für die meisten IoT-Bestände.
MAC Authentication Bypass mit starker Segmentierung. MAC-Adressen lassen sich trivial fälschen, das ist also keine Authentifizierung – es ist Inventarisierung. Nur akzeptabel hinter aggressiver Segmentierung und Überwachung.
Eine separate SSID mit einem gemeinsamen PSK, stark segmentiert. Nur akzeptabel, wenn das VLAN wirklich isoliert und egress-gefiltert ist und der Schlüssel nach einem Zeitplan rotiert wird.

Was auch immer Sie wählen: Bringen Sie IoT in ein eigenes VLAN, verweigern Sie ihm laterale Bewegung, verweigern Sie ihm Internet-Egress außer zu den spezifischen Zielen, die es benötigt, und gehen Sie davon aus, dass es irgendwann kompromittiert wird. Designen Sie für Eindämmung statt Prävention.

Gastnetzwerke

Verwenden Sie OWE (Enhanced Open) statt eines wirklich offenen BSS. Es bietet unauthentifizierte Verschlüsselung, die passives Mitschneiden des Gastverkehrs verhindert – eine spürbare Verbesserung gegenüber offenem Wi-Fi bei null Nutzerreibung.
Isolieren Sie Clients auf Layer 2 voneinander.
Bringen Sie ein Gastnetzwerk niemals auf demselben VLAN wie irgendetwas anderes unter.
Begrenzen Sie die Rate pro Client, und beachten Sie, dass Captive Portals schlecht mit 6-GHz-fähigen Clients und mit MAC-Randomisierung zusammenspielen.

MAC-Randomisierung

Moderne iOS-, Android- und Windows-Systeme randomisieren MAC-Adressen standardmäßig pro SSID. Jede Kontrolle, die von einer stabilen MAC-Adresse abhängt – MAB, MAC-Allow-Lists, Bandbreitenrichtlinien pro Gerät, Gerätetracking in Analysen – ist beeinträchtigt oder funktionslos. Planen Sie Identität stattdessen auf Basis von Zertifikaten oder Pro-Gerät-PSK.

Die unglamouröse Liste

Rotieren Sie die WPA2-Pre-Shared-Keys, die Sie noch haben, und dokumentieren Sie, wo sie verwendet werden.
Deaktivieren Sie WPS überall. Es ist bei mehr Geräten standardmäßig noch aktiviert, als Sie erwarten würden.
Ändern Sie die Standard-Admin-Zugangsdaten auf jedem AP, Switch und Controller, und prüfen Sie, dass der Konsolenzugang zum AP deaktiviert oder passwortgeschützt ist.
Aktivieren Sie die Erkennung und Eindämmung von Rogue-APs und prüfen Sie die Alarme wöchentlich, statt einen achtzehn Monate alten Rogue-AP erst bei einem Audit zu entdecken.
Sichern Sie APs in öffentlichen Bereichen physisch. Ein AP an einem erreichbaren Ort ist ein Konsolenport und eine Netzwerkdose.